NFT項目Akutars資金鎖定事件簡析_FUN

據慢霧區消息，Akutars(@AkuDreams)項目拍賣合約由于多個代碼缺陷導致11,539.5枚ETH永久無法取出。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1.Akutars拍賣合約中存在bid與processRefunds功能，用戶分別可以進行拍賣出價與退款操作。

2.在拍賣結束后發起processRefunds退款操作時拍賣合約將遍歷出價用戶，并通過低級調用call為用戶進行退款，但并未限制這一調用的gasLimit。而未做此gasLimit限制的情況下，拍賣合約將使用發起者的全部gas進行外部調用。

CertiK：過去三個月監測到349起NFT項目Discord被攻擊事件，至少41個虛假網站來自同一團伙:8月8日消息，安全機構CertiK在Twitter上表示，過去三個月共監測到349起NFT項目Discord被攻擊事件，其中5月119起，6月116起，7月114起。此外，據調查攻擊者發布的虛假網站中，至少41個網站來自同一團伙。[2022/8/8 12:10:10]

3.但由于Akutars拍賣合約并不限制合約參與拍賣，因此“惡意用戶”可以使用合約參與拍賣，并在其合約的接收以太函數中寫入惡意消耗gas的邏輯，使得在進行退款流程時觸發此用戶合約，進而惡意消耗了調用發起者的全部gas，直接導致后續退款無法正常進行。

斯坦·李簽名的漫威封面畫將在NFT市場Mogul Productions進行拍賣:10月28日消息，流行藝術家Rob Prior在2017年開始與漫威宇宙創造者斯坦·李合作“The Legacy Collection: Portraits of Stan Lee”，Rob Prior創作了95幅大型帆布畫，展示了斯坦·李在漫威和漫畫黃金時代的封面上。這些作品均由斯坦·李簽名，他于2018年去世，享年95歲。其中10幅帆布畫從10月28日北京時間08:00AM在NFT市場Mogul Productions進行拍賣，持續48小時，贏家將獲得畫布的實物和數字版本。（路透社）[2021/10/28 21:04:14]

4.幸運的是此“惡意用戶”僅僅只是做了風險驗證測試，最終解除了惡意消耗gas的邏輯使得退款可以繼續順利進行。當然用戶也可以在拍賣結束的3天后進行緊急退款。

波場生態NFT游戲“守護神”即將上線:據官方消息，以“十二星座文化”為主題打造的Dapp游戲即將上線，并開啟第一階段預售。作為波場生態首款NFT+盲盒+DeFi可自主參與合成的數字星座守護神游戲，“NUMEN守護神”是一個用戶可參與的數字化藝術收藏品，由星座愛好者和繪畫大師共同創作而成，最大供應量為3萬枚NFT。每一枚都是獨一無二的星座守護神圖騰作品，每一幅圖騰擁有多個稀缺元素和參與者可自定義的元素，用戶競拍后即可通過消耗MPS （My Patron Saint）參與守護神圖騰的設計和命名。[2021/4/17 20:31:00]

5.在用戶退款完成后項目方可以通過claimProjectFunds功能提取合約中的拍賣所得。但拍賣合約在用戶進行bid時使用totalBids與bidIndex記錄用戶所拍的數量與出價次數，而用戶是可以在一次出價中任意選擇所拍的數量的，因此在拍賣結束totalBids實際上大于bidIndex。當前totalBids為5495，bidIndex僅為3669。

6.但在claimProjectFunds函數中卻要求refundProgress退款數必須大于等于totalBids，項目方本意應是為了保證全部用戶完成退款后才可進行取款。而實際上refundProgress是根據出價人總數進行計算的，也就是全部退款完成refundProgress也只是會等于bidIndex。這就出現了refundProgress永遠不會大于totalBids的情況。最終導致合約中11,539.5枚ETH永遠無法取出。

綜上，即使在用戶無法退款問題被解決的情況下，由于出價人數與拍賣數量的計數不一致以及項目方取款函數的缺陷，最終都會導致Akutars資金被永久鎖住的結果。

Tags：BIDPROFUNUNDBidaozkProofBETX.FUNHYS FUND

火必APP